İç Denetim Nasıl Yapılır? ISO 19011:2026 ile Adım Adım Rehber

İç denetim, işletmenizin kendi yönetim sistemini kendi çalışanlarıyla ya da görevlendirdiği bir uzmanla, belirlenmiş ölçütlere göre sistemli biçimde incelemesidir. Dört adımda yürür: yıllık denetim programı hazırlanır, her denetim için plan yapılır, sahada kanıt toplanır, bulgular yazılıp rapor edilir ve kapatılır. Yol gösterici standart ISO 19011'dir ve en güncel baskısı Mayıs 2026'da yayımlanan ISO 19011:2026'dır. Bu standart belgelendirilen bir şart değil, rehberdir; ISO 9001, 14001, 22000 veya 45001 gibi standartlar ise iç denetimi şart koşar.

Aşağıda bir otel kalite müdürünün ya da bir üretim tesisi kalite sorumlusunun elini taşıyan bir akış var. Her adımda kimin ne yaptığını, hangi kaydı tuttuğunu ve en sık hatayı nerede yaptığımızı anlatıyoruz.

ISO 19011:2026 nedir, 2018'den ne değişti?

ISO 19011, yönetim sistemlerinin denetimine ilişkin rehber standarttır: denetim ilkeleri, denetim programının yönetimi, denetimin yürütülmesi ve denetçi yeterliliği. Dördüncü baskı olarak Mayıs 2026'da yayımlandı ve 2018 baskısının yerini aldı. Sertifikalandırılan bir standart olmadığı için geçiş süresi yoktur; baskı yayımlandığı andan itibaren iç denetim uygulamalarınız için referans olarak kullanılabilir.

Yayımcı ve mesleki kuruluşların aktardığı kadarıyla değişiklikler "evrimsel": yapı korunuyor, içerik güncelleniyor. Öne çıkan başlıklar:

• Uzaktan denetim rehberliği genişledi. ISO/IEC TS 17012 içeriğinin standarda alındığı ve ekin uzaktan ile sanal alanları kapsayacak biçimde genişletildiği bildiriliyor.
• Tedarik zincirinin denetimi hakkındaki rehberlik genişledi.
• Risk temelli denetim planlaması ve denetçi yeterliliği vurgulandı.
• Yapay zekâ ve dijital araçların denetimde kullanımına dair hükümler eklendi.
• Terimler, tanımlar, madde başlıkları ve madde atıfları değişti; uygunsuzluk derecelendirme ölçütlerinin nasıl tanımlanıp iletileceği de gözden geçirildi. Bu yüzden denetim raporu şablonları güncellenmeli.

Burada sayılan değişiklikleri standartın tam metninden doğrulamadık; bir madde numarası ya da tanım alıntılayacaksanız metne bakın. Mesleki kurum CQI/IRCA, rehberin etkisini "iç denetim şablonları ve rapor dilinde güncelleme" olarak özetliyor. Yani çoğu işletme için iş, denetim yöntemini değiştirmek değil, form ve terimleri uyarlamaktır.

Önce temel: iç denetim neden yapılır?

Standartlar (örneğin ISO 9001'in 9.2 maddesi) iç denetimi planlı aralıklarla yapmayı ister. Amaç, sistemin hem standardın şartlarını hem de kendi koyduğunuz kuralları karşılayıp karşılamadığını, etkin biçimde uygulanıp sürdürülüp sürdürülmediğini görmektir. Dış denetim gelmeden önce zayıf noktayı kendi bulmak, belgelendirme kuruluşu denetimine göre çok daha ucuzdur.

İç denetim, kusur avı değildir. En iyi iç denetimler, sürecin sahibine bir kontrol listesi bırakmaz; bir soruya cevap bırakır: "Bu süreç gerçekten çalışıyor mu?" Aşağıdaki akış bu soruya göre kurulmuştur.

1. Denetim programı: yıl boyu plan

ISO 19011, denetim programını bir denetim dönemi için planlanan denetimler bütünü olarak tarif eder. İşletmeniz için bu, yılda hangi süreçlerin hangi sıklıkla denetleneceğini gösteren bir takvimdir.

Programa girmesi gereken bilgiler

• Denetim hedefleri (örneğin "yeni mutfak vardiya sisteminin gıda güvenliği şartlarına uygunluğunu görmek")
• Denetlenecek süreçler, bölümler ve ölçütler (ISO 9001 maddeleri, mevzuat, iç prosedürler)
• Her denetim için tarih, süre ve denetçi
• Denetçinin tarafsızlığı: Kendi işini denetleyemez
• Kaynak ihtiyacı (süre, ulaşım, uzaktan denetim araçları)

Risk temelli planlama

Tüm süreçleri aynı sıklıkta denetlemek zorunda değilsiniz. Yeni sürece, değişiklik yapılan alana, geçmişte uygunsuzluk çıkan bölüme ve riski yüksek faaliyete daha sık bakın. Örneğin 200 odalı varsayımsal bir otelde açık büfe mutfağı ve kat hizmetleri, ofis arşivinden daha sık denetlenmelidir. Gıda güvenliği ve alerjen yönetimi için açık büfe gıda güvenliği yazımıza bakabilirsiniz.

Programı yılın başında yönetim onayına sunun ve altı ayda bir gözden geçirin. Dolu bir program, boş kalan çeyrekle sorgulanır.

Tablodaki sıklıklar örnektir; kendi risk değerlendirmenize göre belirleyin.

2. Denetçi seçimi ve yeterlilik

İç denetçi, denetlediği işin sahibi olmamalıdır. Bunu sağlamak küçük işletmede zordur; yardımcı olabilecek üç yol var:

1. Bölümler arası çapraz denetim: Mutfak şefi ofisi, muhasebe mutfağı denetler.
2. Başka şubenin kalite sorumlusunu görevlendirmek.
3. Dışarıdan uzman almak.

Yeterlilik için ISO 19011 üç şeye bakar: kişisel nitelikler (tarafsızlık, gözlem, ayrıntıya dikkat), bilgi ve beceri (denetim yöntemleri, ilgili standart, sektör bilgisi) ve eğitim ile deneyim. ISO 19011 iç denetçi eğitimi bu temelleri sağlar. Eğitimi alan her denetçi için eğitim kaydı, katıldığı denetimler ve değerlendirmesi dosyalanmalıdır.

Yeterlilik kanıtı olmadan denetçi atamak, iç denetimin dış denetimde en sık sorgulanan yönüdür.

3. Denetim planı: tek bir denetimin hazırlığı

Programda yer alan bir denetim için ayrıca bir plan hazırlanır. Plan en az şunları içerir:

• Denetimin amacı ve kapsamı
• Ölçütler: Hangi standardın hangi maddeleri, hangi mevzuat, hangi iç prosedür
• Tarih, saat ve denetlenecek kişi
• Denetim ekibi ve rolleri
• Zaman çizelgesi (açılış toplantısı, saha, kapanış)
• Belgeler ve kayıtlar (hazır bulundurulacaklar)
• Uzaktan denetim yapılacaksa yöntem, araç ve görüşme kuralları

Denetim öncesi doküman incelemesi

Sahaya çıkmadan önce ilgili prosedürü, son denetimin raporunu, açık kalan uygunsuzlukları ve varsa müşteri şikâyetlerini inceleyin. Bu, denetçiye hangi soruları sorması gerektiğini söyler.

Kontrol listesi kullanın ama ona bağlı kalmayın

Bir kontrol listesi unutmamanıza yardım eder. Sorun, denetçinin sadece listedeki maddeleri okumasıdır; böylece saha ne söylerse söylesin yeni bir bulgu görmez. Listeyi hazırlayın, ancak denetim sırasında "ilginç görünen şey" için not alın. Dijital kontrol listeleri, denetim kayıtlarının hızlı tutulmasına yardım eder; yine de bulguyu yazan kişi denetçidir. PusulaNorm bu alanda yapay zekâyı uzmanın yerine koymaz, analizini hızlandırır.

4. Açılış toplantısı

Sahaya girmeden önce kısa bir açılış toplantısı yapın. 10 ile 15 dakika yeter. İçeriği:

1. Denetimin amacı, kapsamı ve ölçütleri
2. Zaman çizelgesi
3. Gizlilik ve yöntem (kanıt toplamanın nasıl yapılacağı)
4. Bulguların nasıl derecelendirileceği
5. Kapanış toplantısının zamanı
6. Sorular

Toplantı kısa tutulursa denetlenen, "yargılanma" hissinden bir miktar kurtulur. Katılım listesi imzalatın.

5. Sahada soru sorma ve kanıt toplama

Bu bölüm denetimin kalbidir. Kural basit: soru sorun, dinleyin, kanıt isteyin, not alın.

Açık uçlu sorular

"Kayıtlarınız tamam mı?" diye sorarsanız "evet" cevabını alırsınız. Bunun yerine şöyle sorun:

• "Bu cihazın kalibrasyonunu kim, ne zaman yapıyor, sonucu nerede görürüm?"
• "Sabah vardiyasında soğuk oda sıcaklığı sınırı aşılırsa ne yaparsınız? Son örneği gösterir misiniz?"
• "Yeni gelen bir kat görevlisine eğitimi kim veriyor, kayıt nerede?"
• "Alerjen listesi değiştiğinde bunu servis ekibi nasıl öğreniyor?"

Cevap duyunca ikinci sorunuz hep "gösterebilir misiniz?" olsun. Kanıt, söylenenden değil gösterilenden çıkar.

Kanıt türleri

Bir bulgunun sağlam olması için en az iki farklı kaynaktan doğrulanması iyi uygulamadır. Tek kişinin söylediği "kanıt" değil ipucudur.

Örnekleme

Tüm kayıtları tek tek okuyamazsınız. Örneklem alın: son üç ay, her vardiyadan bir gün, her depodan bir ürün gibi. Örnekleme yaparken seçimin tarafsız olduğunu belirtin ve kaydedin. Seçilen örnek uygunsa "tüm kayıtlar uygun" yazmayın; "incelenen örneklem" ifadesini kullanın.

Sık yapılan saha hataları

• Denetlenene tavsiye vermek. Denetçi kanıt toplar, çözümü süreç sahibi bulur.
• Soru sorarken yönlendirmek: "El yıkama talimatı var, değil mi?"
• Kanıt almadan not yazmak.
• Tek örnekten genelleme yapmak.
• Zaman çizelgesine uymayıp ilk bölümde vakit harcamak.
• Kişiyi değil, sistemi konuşmak gerekirken kişiyi suçlamak.

6. Bulgu yazımı

İyi bir bulgu üç şeyi içerir: ölçüt, kanıt ve sapma. Bulguyu okuyan kişi, ne olduğunu denetçiyi aramadan anlamalıdır.

Bulgu türleri

ISO 19011 bulguları uygunluk ve uygunsuzluk olarak ayırır. Pek çok kuruluş ayrıca iyileştirme fırsatı ve iyi uygulama notu kullanır. Uygunsuzluk dereceleri (büyük ve küçük gibi) kuruluşun kendi iç prosedüründe tanımlanır; 2026 baskısında derecelendirme ölçütlerinin tanımı ve iletimi konusunda güncelleme olduğu bildirildiği için prosedürünüzü gözden geçirin.

Bulgu cümlesi şablonu

1. Ölçüt: Hangi şart ya da kural? (Örneğin "Gıda Güvenliği Prosedürü madde 5.2: soğuk oda sıcaklığı günde iki kez kaydedilir.")
2. Kanıt: Ne görüldü? ("12-18 Mart tarihleri arasında akşam vardiyasının kayıt formu boş bırakılmış.")
3. Sapma: Aradaki fark. ("Yedi günün yedisinde akşam kaydı yapılmamış.")

Kötü bulgu: "Soğuk oda kayıtları eksik." İyi bulgu: yukarıdaki üç öğeli cümle.

Örnekteki tarih ve prosedür numarası varsayımsaldır.

Kök neden ve düzeltici faaliyet

Bulguyu yazmak denetçinin işidir; kök nedeni ve eylemi süreç sahibi belirler. Süreç sahibi nedenin "çalışan unuttu" olmasını yeterli bulmamalı: neden unuttu, form nerede duruyor, vardiya devrinde kim sorumlu? "Neden" sorusunu tekrarlayarak (beş neden yöntemi gibi) asıl nedene ulaşılır. Eylem planı sorumlu ve tarih içermelidir.

7. Kapanış toplantısı

Denetim sonunda bulguları süreç sahipleriyle paylaşın. Toplantıyı şöyle yürütün:

1. Olumlu bulgularla başlayın. Sistem çalışıyorsa söyleyin; iç denetim sadece olumsuz bildirim değildir.
2. Uygunsuzlukları ölçüt-kanıt-sapma biçiminde okuyun.
3. Anlaşmazlık varsa ek kanıt isteyin; denetçinin görüşüne dayanmayın.
4. Düzeltici faaliyet için süre konuşun.
5. Denetimin bir örneklemeye dayandığını hatırlatın.
6. İmza toplayın.

İpucu: Kapanışta süreç sahibi şaşırıyorsa, denetimin ortasında bilgi paylaşımı eksikti demektir. Gün içinde küçük geri bildirimler verin.

8. Denetim raporu

Rapor, kapanış toplantısından sonra kısa sürede yayımlanmalıdır. İçeriği:

• Denetim amacı, kapsamı, ölçütleri
• Tarih, yer, denetim ekibi, denetlenenler
• Denetimin gerçekleştirilme yöntemi (yerinde, uzaktan ya da karma)
• Bulguların listesi (uygunluklar ve uygunsuzluklar)
• Sonuçlar: sistemin etkinliği hakkında denetçi görüşü
• Eksik kalan kısımlar ve sınırlamalar (örneğin ulaşılamayan alan)
• Dağıtım listesi

Rapor yönetime gider ve yönetimin gözden geçirme girdilerinden biridir. Aynı bulgu üç yıl art arda tekrarlanıyorsa, sorun denetimde değil takip mekanizmasındadır.

9. Takip ve kapatma

Uygunsuzluk raporu açıldığında bir izleme listesi başlatın: bulgu numarası, sorumlu, hedef tarih, durum. Süreç sahibi eylemi tamamladığında denetçi (ya da kalite birimi) kanıtı inceler ve etkinliği doğrular. "Form düzeltildi" yazmak yeterli değildir; yeni kayıtların doğru tutulduğunu görmek gerekir.

Eylemin etkinliği kontrol edilmeden kapatılan bulgular, dış denetimde tekrar karşınıza çıkar.

Uzaktan iç denetim

2026 baskısında uzaktan denetim rehberliği genişlediği için bu bölümü ayrı bırakıyoruz. Bina geniş olduğunda ya da birkaç şubeniz varsa uzaktan denetim işe yarar. Kurallar:

• Görüşme platformunu ve kayıt paylaşımını önceden test edin.
• Gizlilik ve veri güvenliği kurallarını belirleyin, ekran paylaşımı sırasında hangi kayıtların görüneceğini sınırlayın.
• Kayıt ve doküman incelemesi uzaktan iyi yürür; fiziksel düzen, temizlik, alerjen ayrımı gibi gözlem gerektiren konuları görüntülü yürüyüş ya da yerinde ziyaret ile tamamlayın.
• Denetim raporuna uzaktan yapıldığını ve sınırlamaları yazın.

Mutfak gibi gözlemin ağır bastığı alanlarda yalnızca uzaktan denetimle yetinmeyin.

Yapay zekâ ve dijital araçlar

Dijital kontrol listeleri, fotoğraf kanıtı ve veri analizi denetimi hızlandırır. Ancak bulgu kararı bir yapay zekâ çıktısı olmamalı, denetçinin yargısı olmalıdır. Araç çıktısını kanıt olarak kullanıyorsanız kaynağını ve doğrulama yöntemini kayıtlara alın. Daha fazla bilgi için denetimde yapay zekâ kullanımı yazısına bakabilirsiniz.

İç denetim kontrol listesi

Aşağıdaki maddeleri yıl içinde sınayın:

1. Yıllık denetim programı yönetim onayıyla yayımlandı.
2. Program risk ve önceki sonuçlara göre hazırlandı.
3. Her denetçinin eğitimi ve yeterlilik kaydı dosyada.
4. Denetçi, kendi işini denetlemiyor.
5. Her denetim için yazılı plan var.
6. Açılış ve kapanış toplantıları imza listesiyle kayıtlı.
7. Bulgular ölçüt, kanıt, sapma biçiminde yazılmış.
8. Her uygunsuzluk için kök neden, sorumlu ve tarih var.
9. Kapatılan bulguların etkinliği doğrulanmış.
10. Rapor yönetimin gözden geçirme toplantısına girdi oldu.
11. Rapor şablonu ISO 19011:2026 terimlerine göre güncellendi.

Bu maddelerin yarısı eksikse, ilk olarak programı ve eğitimi düzeltin; kalan her şey buna yaslanır. Kalite sistem denetimleri ile bağımsız bir gözle sistemi sınamak, iç ekibin kör noktalarını gösterir. İç denetçi yetiştirmek için ISO 19011 iç denetçi eğitimimize göz atın. Birden çok standardı bir arada yürütüyorsanız entegre yönetim sistemi yazımızdaki ortak denetim yaklaşımı da işinize yarar.

Sık Sorulan Sorular